VPN клиентін SSH арқылы іске қосып жатырсыз ба? Алдымен өз маршрутыңызды бекітіңіз
Толық туннельді клиент SSH жауабыңызды тасымалдайтын кестені қайта жазады. Ескі шлюз арқылы бір хост маршрутын бекітіңіз немесе клиентті өз атау кеңістігінде іске қосыңыз.
Сіз SSH арқылы құрастыру хостына кіресіз, онда VPN клиентін іске қосасыз, содан кейін сессия жауап беруді тоқтатады. Ештеңе құлаған жоқ, және айқын мағынада ештеңе дұрыс конфигурацияланбаған сияқты көрінбейді. Клиент әдепкі маршрутты орнатты, сондықтан жұмыс станцияңызға жауаптар енді туннель арқылы шығады, онда жұмыс станцияңыздың мекенжайы маршрутталмайды. Қызықты жері – бұл нәтиже алдын ала болжамды болды, ал түзету клиент басталмас бұрын жазылатын бір маршрут. Бір желілік адаптері бар сервер, 192.0.2.254 шлюзі және 203.0.113.9 мекенжайынан қосылатын әкімші деп есептейік.
Бастамас бұрын жолды жазып алыңыз
ip route show default ағымдағы шлюз мен интерфейсті атайды, ал ip route get 203.0.113.9 ядро сіздің сессияңыз үшін қай интерфейс пен қайнар көз мекенжайын пайдаланатынын көрсетеді. Екі шығысты да сақтап қойыңыз. Туннель көтерілгеннен кейін бұл екі команда әлі де физикалық жолды сипаттауы керек, ал егер олар оның орнына туннельді сипаттаса, сессия қазірдің өзінде қарызға алынған уақытта өмір сүреді.
Маңыздысы – қазірдің өзінде орнатылған байланыс, сондықтан тек жаңа кірумен растамаңыз. Жаңа сессия ескісінде енді жоқ күй арқылы қысқа уақытқа сәтті болуы мүмкін.
Мекенжайды клиенттің өз конфигурациясында бекітіңіз
Қолмен қосылған маршрут қайта жүктеуде жоғалады және клиенттің өз кесте жаңартуларымен жарысады, сондықтан ерекшелікті кесте басқарылатын жерге қойыңыз. OpenVPN ішінде net_gateway кілт сөзі туннельге дейін болған шлюзге шешіледі, сондықтан route 203.0.113.9 255.255.255.255 net_gateway оның сыртында дәл бір мекенжайды ұстайды. WireGuard басқа тәсілді қажет етеді, өйткені wg-quick маршруттарды өзі басқарады: Table = off параметрін орнатып, ерекшелікті PostUp ішіне қосыңыз, оны жоятын сәйкес PostDown бірге. Екі нысан да бір ниетті білдіреді және екеуі де ерекшелікті бәрі үшін туннельді әлсіретудің орнына бір мекенжаймен шектейді.
IPv6 үшін сол идея бір хост префиксін алады, ал оралған тасымал жағдайын есте ұстаған жөн: егер туннельдің өзінің сыртқы байланысы тұрақты мекенжайда өмір сүрсе, сол мекенжай өзі тасымалдайтын туннельден тыс қалуы керек, әйтпесе клиент өз тасымалын өзінің ішіне маршруттайды.
Немесе негізгі кестені теңдеуден шығарыңыз
Хосттағы бірнеше қызмет әдеттегі жолын сақтауы керек болса, негізгі кестені өңдеуді тоқтатып, клиентке өз кестесін беріңіз. veth жұбы бар желілік атау кеңістігі мұны таза жасайды: клиенттің әдепкі маршруты басқа стекте өмір сүреді және туннельді тек оның ішінде іске қосылған процестер пайдаланады. Саясаттық маршруттау бір межелі орын үшін ұқсас жерге жетеді, сәйкес трафикті әдепкісі әлі де физикалық шлюзге сілтейтін арнайы кестеге жіберу арқылы. Екі тәсілдің кез келгені хосттың негізгі кестесін жаңа әдепкі маршрутсыз қалдырады, және дәл осы қасиет SSH-ті жауап беруші күйде ұстайды.
Екеуі де бір хост маршрутынан көбірек механизм және машинадағы бірнеше нәрсе туннельден аман өтуі керек болғанда екеуі де тұрарлық.
Бекіту сәтсіз болуы мүмкін деп есептеңіз
Ағымдағы жария мекенжайыңызға байланған маршрут провайдеріңіз оны қайта тағайындаған сәтте үзіледі. Сонда қашықтағы серверге осы мекенжайға тәуелді емес жол қажет: консоль, екінші басқару интерфейсі немесе туннельден тыс қалатын секіру хосты.
Екі қорғаныс шарасы он минутқа тұрады. Бірнеше минут ішінде растау кіруі пайда болмаса клиентті тоқтататын күзетші құлыптауды кідіріске айналдырады, ал өзгеріс кезінде ашық ұсталған екінші SSH сессиясы туннель көтерілгенде ерекшеліктің жұмыс істейтінін дәлелдейді. Тек keepalive хабарламалары мұнда көмектеспейді, өйткені жол бос емес, кетіп қалған; олар өлімді байқауды жеңілдетеді ғана.
Маңызы бар ретпен тексеріңіз
Туннельді қосыңыз, мекенжайыңызға апарар маршрут әлі де физикалық шлюз арқылы шығатынын растаңыз, содан кейін жаңа сессия ашыңыз. Егер жаңа сессия жұмыс істесе және ескісі бәрібір өлсе, себебі маршруттау емес, байланысты бақылау немесе күйі бар firewall, бұл басқа түзету.
Бекітілген мекенжайды және оны дәлелдеген команданы өзгерістер журналына жазыңыз. Сол хостта клиентті келесі іске қосатын адамға екеуі де қажет болады, ал мекенжай сол уақытқа дейін өзгерген болуы мүмкін.